Зараженный компьютер win32.floodfix.7

Printable View

06.05.2023, 21:36
Chapaew

Вложений: 1

Зараженный компьютер win32.floodfix.7

Всем приветствую! Долгое время мой компьютер терризирует вирус который после удаление или установки любых приложений (чаще всего steam, geforce exprience, discrod) выдаёт "Ошибка при запуске приложения (0xc0000005)...) Для временного решения меня выручает Dr.Web, он постоянно детектит два трояна один у которого путь C:\Program Files\Common Files\System\symsrv.dll, а второй путь с приложением которое выдаёт ошибку, после излечения всё работает до последующий установки или удаление приложений. Многие способы пробовал, но всё безуспешно. Заранее благодарю!
06.05.2023, 21:39
Info_bot

Уважаемый(ая) [B]Chapaew[/B], спасибо за обращение на наш форум!

Помощь в лечении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
06.05.2023, 22:49
Vvvyg

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ из папки Autologger\AV\av_z.exe[/url]:[code]begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
DeleteFile('C:\Windows\system32\dlcoer.dll', '');
DeleteFile('C:\Program Files\Common Files\System\symsrv.dll', '');
DeleteFile('C:\Windows\system32\dlcoer.dll', '32');
ExecuteSysClean;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

Запустите HijackThis, расположенный в папке Autologger и [url="http://virusinfo.info/showthread.php?t=4491"]пофиксите только эти строки[/url]:[code]O20 - HKLM\..\Windows: [AppInit_DLLs] = C:\Windows\system32\dlcoer.dll (file missing)
O20-32 - HKLM\..\Windows: [AppInit_DLLs] = C:\Windows\system32\dlcoer.dll (file missing)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{154D58DA-7A6A-4EDE-928B-B6FA5C3C2FBE} - (no key)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{154D58DA-7A6A-4EDE-928B-B6FA5C3C2FBE} - \MicrosoftEdgeUpdateTaskMachineCore (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{4D595DA6-BC59-47AE-A527-EC01FCE2E615} - (no key)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{4D595DA6-BC59-47AE-A527-EC01FCE2E615} - \Microsoft\Windows\Speech\SpeechModelDownloadTask (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{7A7B60AA-BA42-409F-BC97-7BCFEFAD6308} - (no key)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{7A7B60AA-BA42-409F-BC97-7BCFEFAD6308} - \Microsoft\Windows\LanguageComponentsInstaller\Installation (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{80436C26-BC19-4930-9051-F06F0E0BA960} - (no key)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{80436C26-BC19-4930-9051-F06F0E0BA960} - \Microsoft\Windows\Management\Provisioning\Logon (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{A499FA48-7057-4AC1-9702-44C6FD924058} - (no key)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{A499FA48-7057-4AC1-9702-44C6FD924058} - \Microsoft\Windows\LanguageComponentsInstaller\ReconcileLanguageResources (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{B97C7632-DD50-4F07-8E4E-F1450795BF78} - (no key)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{B97C7632-DD50-4F07-8E4E-F1450795BF78} - \Microsoft\Windows\DiskDiagnostic\Microsoft-Windows-DiskDiagnosticDataCollector (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{C3944556-15CF-467E-89E2-29D4BFD3EC5A} - (no key)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{C3944556-15CF-467E-89E2-29D4BFD3EC5A} - \Microsoft\Windows\Diagnosis\Scheduled (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{CC5087E6-8C26-4BCE-A6C4-91777A9C868C} - (no key)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{CC5087E6-8C26-4BCE-A6C4-91777A9C868C} - \MicrosoftEdgeUpdateTaskMachineUA (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{CD0446AF-D5F6-4616-85CE-058C20FCE9EC} - (no key)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{CD0446AF-D5F6-4616-85CE-058C20FCE9EC} - \Microsoft\Windows\Shell\FamilySafetyRefreshTask (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{DFDC1B83-7FD3-4C77-8CD1-7391D1680ACA} - (no key)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{DFDC1B83-7FD3-4C77-8CD1-7391D1680ACA} - \Microsoft\Windows\Shell\FamilySafetyMonitor (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{E38739C8-A84F-4F9B-8913-DCA75BC35C79} - (no key)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{E38739C8-A84F-4F9B-8913-DCA75BC35C79} - \Microsoft\Windows\Management\Provisioning\Cellular (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{ECDB971F-8576-4F0F-8104-048093A6D324} - (no key)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{ECDB971F-8576-4F0F-8104-048093A6D324} - \MicrosoftEdgeUpdateBrowserReplacementTask (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{F472261A-A57A-465B-A695-5F2E75E37782} - (no key)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{F472261A-A57A-465B-A695-5F2E75E37782} - \Microsoft\Windows\ApplicationData\DsSvcCleanup (no xml)[/code]
Сделайте новый лог Autologger.
06.05.2023, 23:40
Chapaew

Вложений: 1

Все сделал как вы сказали. Только были отличия в HijackThis, первый две строки имели следующий адрес:
O20 - HKLM\..\Windows: [AppInit_DLLs] = [B]C:\Program Files\Common Files\System\symsrv.dll[/B]
O20-32 - HKLM\..\Windows: [AppInit_DLLs] = [B]C:\Program Files\Common Files\System\symsrv.dll[/B]

Прикреплю новый лог Autologger.
07.05.2023, 08:52
Vvvyg

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ из папки Autologger\AV\av_z.exe[/url]:[code]begin
DeleteFile('C:\PROGRA~1\COMMON~1\System\symsrv.dll', '');
DeleteFile('C:\PROGRA~1\COMMON~1\System\symsrv.dll', '32');
DeleteFile('C:\PROGRA~1\COMMON~1\System\symsrv.dll', '64');
DeleteFile('C:\Program Files\Common Files\System\symsrv.dll', '');
DeleteFile('C:\Windows\system32\dlcoer.dll', '32');
ExecuteSysClean;
RebootWindows(true);
end.
[/code]Компьютер перезагрузится.

Пофиксите в HijackThis:[CODE]O20 - HKLM\..\Windows: [AppInit_DLLs] = C:\Program Files\Common Files\System\symsrv.dll
O20-32 - HKLM\..\Windows: [AppInit_DLLs] = C:\Program Files\Common Files\System\symsrv.dll[/CODE]
Отключите временно встроенный антивирус ("Защитник") - у него ложное срабатывание на компоненты используемой далее программы.
Скачайте утилиту Universal Virus Sniffer [URL="https://yadi.sk/d/6A65LkI1WEuqC"]отсюда[/URL] и [url=https://virusinfo.info/showthread.php?t=121767&p=897810&viewfull=1#post897810]сделайте полный образ автозапуска uVS[/url].
07.05.2023, 10:00
Chapaew

Сделано. После выполнения скрипта в HijackThis отсутствовали строки 020 и 020-32 о которых вы просили пофиксить.

Добавлю моих наблюдений по поводу вируса, возможно поможет:
- Файл symsrv.dll появляется не сразу после перезагрузки компьютера, в некоторых случаях он может снова создаться спустя некоторые время час, день и т.д.
- Сегодня после запуска компьютера пострадал discord.exe с аналогичной ошибкой (0xc0000005).

По загрузке файла лимит, прикрепляю ссылку google drive:
[url]https://drive.google.com/file/d/11WzpP0tqcNGrCcOABqIj1BRPolPOarKu/view?usp=sharing[/url]
08.05.2023, 21:13
Vvvyg

Скопируйте скрипт ниже в буфер обмена (выделить и нажать Ctrl-C):[code];uVS v4.13 [http://dsrt.dyndns.org:8888]
;Target OS: NTv10.0
v400c
OFFSGNSAVE
adddir %SystemDrive%\PROGRAM FILES\COMMON FILES\SYSTEM
zoo %SystemDrive%\PROGRAM FILES\COMMON FILES\SYSTEM\SYMSRV.DLL
addsgn 729053925465C9CB0AD4AED1DAC81207350742F69904E02F060E3A575D46E1DCA91185DF39129C925E870F81C5F8B5EBA6AD05CA54DAB02C2CACD1284C18A19D 16 Win32/Floxif.E [ESET-NOD32] 7

chklst
delvir
apply
deltmp
restart[/code]
Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.
Компьютер перезагрузится.

В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.

tckb вирус сохранится, выполните скрипт в безопасном режиме, лог выполнения тоже покажите.
08.05.2023, 22:08
Chapaew

Вложений: 3

Его повторно запустить в безопасном режиме или изначально?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Прикрепляю лог из UVS.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Прикрепляю лог из UVS из безопасного режима.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Извиняюсь, сразу не понял что означает "tckb". Да, он сохранился, так-же Dr.Web Curelt обнаружил его в AVZ и HijackThis. (прикрепляю скриншот)
[url]https://prnt.sc/wrx9sVkm5vic[/url]

Прикрепляю лог из безопасного режима после появления вируса.
09.05.2023, 10:08
Vvvyg

Сделайте проверку и лечение (лучше в безопасном режиме, с помощью [URL="https://www.kaspersky.ru/downloads/thank-you/free-virus-removal-tool"]KVRT[/URL]. Прикрепите упакованными в архив файлы отчёта report_<дата>_*.klr.enc1 из папки C:\KVRT2020_Data.
Проверяйте все диски полностью.